Про многомиллионные штрафы за утечки данных знают все. Гораздо меньше знают про отдельную обязанность, которая возникает в момент утечки и измеряется не месяцами, а часами: уведомить Роскомнадзор. И за молчание штрафуют отдельно от самой утечки.
Два срока: 24 часа и 72 часа
Часть 3.1 статьи 21 закона 152-ФЗ устанавливает два срока после того, как оператор узнал об утечке:
| Срок | Что сообщить |
|---|---|
| В течение 24 часов | О самом произошедшем инциденте — первичное уведомление |
| В течение 72 часов | О результатах внутреннего расследования инцидента |
Отсчёт идёт от момента обнаружения утечки. Сутки — очень мало: за это время нужно зафиксировать факт, оценить масштаб и подать первичное уведомление, даже если полная картина ещё не ясна. Именно поэтому второй срок, 72 часа, отведён отдельно на результаты расследования.
🪤 Находка: за молчание штрафуют отдельно от утечки
Это ключевое, что упускают. Штраф за саму утечку (по частям 12–14 статьи 13.11 КоАП — от 3 до 15 млн ₽ в зависимости от масштаба) и штраф за неуведомление РКН об утечке — это два разных штрафа. Неуведомление или несвоевременное уведомление наказывается по части 11 статьи 13.11 отдельно: для юридических лиц от 1 до 3 млн ₽. То есть компания, которая допустила утечку и промолчала, рискует получить обе санкции сразу. Полную таблицу штрафов за утечки мы свели в отдельном разборе.
Почему скорость решает
24 часа — это про готовность заранее, а не про реакцию по факту. Когда утечка уже случилась, некогда разбираться, кто в компании отвечает за уведомление, где взять форму и какие данные затронуты. У бизнеса, который знает, какие персональные данные и где он хранит, есть шанс уложиться в сутки. У того, у кого данные разбросаны по десятку сервисов, первый вопрос «а что вообще утекло» съедает все 24 часа.
Смягчающее обстоятельство работает в ту же сторону: закон позволяет снизить наказание, если оператор документально подтвердит, что выполнял требования по защите данных до инцидента. Доказуемость подготовки имеет прямую денежную цену.
Уложиться в 24 часа можно только если заранее известно, какие данные клиентов и где хранятся. Когда данные собраны в одном месте, оценить масштаб утечки — вопрос минут, а не суток. AXIOM даёт эту единую картину данных.
Как устроено «Согласие» →Вопросы про уведомление об утечке
В какой срок нужно уведомить РКН об утечке персональных данных?
В течение 24 часов о самом инциденте (первичное уведомление) и в течение 72 часов о результатах внутреннего расследования (ст. 21 ч. 3.1 152-ФЗ). Отсчёт — от момента обнаружения утечки.
Штрафуют ли отдельно за неуведомление об утечке?
Да. Штраф за саму утечку (ч. 12–14 ст. 13.11 КоАП, 3–15 млн ₽) и штраф за неуведомление РКН (ч. 11 ст. 13.11, для юрлиц 1–3 млн ₽) — разные санкции. Компания, допустившая утечку и промолчавшая, рискует получить обе.
Что делать, если за 24 часа масштаб утечки ещё не ясен?
Первичное уведомление о факте инцидента подаётся в течение 24 часов даже без полной картины. На результаты внутреннего расследования отведён отдельный срок — 72 часа.
Можно ли снизить наказание за утечку?
Да, закон позволяет смягчить наказание, если оператор документально подтвердит выполнение требований по защите данных до инцидента. Доказуемость подготовки имеет прямую денежную цену.
Продукт по теме
Похожие материалы
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ, ст. 21 ч. 3.1 (сроки уведомления об утечке) — consultant.ru
- КоАП РФ, ст. 13.11 ч. 11–14 (штрафы за неуведомление и за утечку) — consultant.ru
Сроки 24/72 часа сверены с текстом ст. 21 ч. 3.1; штрафы (ч. 11 — 1–3 млн, ч. 12–14 — 3–15 млн) — с текстом ст. 13.11 на 11.07.2026.